PostgreSQL 全球开发组 (PGDG) 认真对待安全问题。这使得我们的用户可以信赖 PostgreSQL 来保护他们关键任务的数据。
PostgreSQL 全球开发组遵循一种模型，该模型在 PostgreSQL 本身及其部署环境（包括硬件、操作系统和应用程序层（编程语言、框架和客户端库））之间共享责任。PostgreSQL 文档提供了有关 PostgreSQL 的固有安全功能以及如何安全配置和运行 PostgreSQL 的信息。
PostgreSQL 及 PostgreSQL 生态系统内的软件（包括客户端库、扩展、安装程序和其他实用程序）都可能存在安全漏洞。本页面将介绍 PostgreSQL 中的安全漏洞被视为什么、如何报告 PostgreSQL 安全漏洞以及如何发布安全漏洞的修复程序。
请注意，PostgreSQL 项目不提供 Bug 赏金。
PostgreSQL 项目是 CVE 编号机构 (CNA)，与 Red Hat 合作作为我们的 CNA 根机构。这使我们能够分配自己的 CVE 编号并发布 PostgreSQL 和密切相关项目的 CVE 记录。
目前，我们将根据请求，为以下项目分配 CVE 编号，请发送电子邮件至 cna@postgresql.org
其他项目可以通过发送电子邮件至 cna@postgresql.org 来请求包含在上述列表中。
注意：安全团队仅在项目成员请求时为项目分配 CVE。如果您认为您在 PostgreSQL 或其软件包和安装程序以外的项目中发现了安全问题，请联系该项目的安全团队。有关更多详细信息，请参见下文。
PostgreSQL 中的安全漏洞是指允许用户获取他们无权使用的特权或数据的事件，或者允许用户通过 PostgreSQL 进程执行任意代码的事件。
PostgreSQL 安全团队不认为 PostgreSQL 超级用户执行的操作是安全漏洞。但是，关于非特权用户升级为超级用户的报告通常符合条件。
PostgreSQL 安全团队通常不认为来自已认证的有效 SQL 语句的 PostgreSQL 服务器的拒绝服务 (denial-of-service) 是安全漏洞。此类性质的拒绝服务问题仍然可能是Bug，我们鼓励您在报告 Bug 页面上报告。
请不要报告 postgresql.org 邮件列表上缺少 DMARC。这是设计使然。
对于 PostgreSQL 或从PostgreSQL 下载页面链接的任何安装程序中的安全漏洞，请发送电子邮件至 security@postgresql.org。
要报告非安全 Bug，请访问报告 Bug 页面。
如果您不确定某个问题是否是安全漏洞，请谨慎行事，并发送电子邮件至 security@postgresql.org。
有关如何报告 PostgreSQL 相关项目中的安全漏洞，请参见下文。
PostgreSQL 项目将安全修复程序作为次要版本更新的一部分发布。我们始终建议使用可用的最新次要版本，因为它将包含其他与安全无关的修复程序。
包含新功能的新 PostgreSQL 主版本，已包含之前所有的安全修复程序。
如果您发现 PostgreSQL 中的安全漏洞，PostgreSQL 安全团队将在发行说明中为您署名，并为该漏洞注册 CVE。请勿独立于 PostgreSQL 安全团队注册 CVE。
要接收有关安全发布或其他安全相关新闻的通知，您可以订阅pgsql-announce邮件列表。如果您将订阅设置为仅包含Security标签，则会排除发送到此列表的所有其他公告。
PostgreSQL 全球开发组认为，安全信息的准确性、完整性和可用性对我们的用户至关重要。我们选择将所有信息集中在此页面上，以便根据各种标准轻松搜索安全漏洞。这包括
您可以点击下方表格中的链接，获取有关安全漏洞的更详细信息。
您目前正在查看一个不受支持版本的 PostgreSQL 安全漏洞。如果您仍在使用 PostgreSQL 10，请尽快升级。
您可以过滤补丁视图，仅显示版本补丁
18 - 17 - 16 - 15 - 14 - 13 - 全部
| 参考 | 受影响 | 已修复 | 组件 & CVSS v3 基本分数 | 描述 |
|---|---|---|---|---|
|
CVE-2022-2625 公告 |
14, 13, 12, 11, 10 | 14.5, 13.8, 12.12, 11.17, 10.22 | 核心服务器 7.1 AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
扩展脚本会替换不属于扩展的对象 更多详情 |
|
CVE-2022-1552 公告 |
14, 13, 12, 11, 10 | 14.3, 13.7, 12.11, 11.16, 10.21 | 核心服务器 8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Autovacuum、REINDEX 等忽略了 "安全限制操作" 沙箱 更多详情 |
|
CVE-2021-32028 公告 |
13, 12, 11, 10, 9.6 | 13.3, 12.7, 11.12, 10.17, 9.6.22 | 核心服务器 6.5 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
INSERT ... ON CONFLICT ... DO UPDATE 中存在内存泄露 更多详情 |
|
CVE-2021-32027 公告 |
13, 12, 11, 10, 9.6 | 13.3, 12.7, 11.12, 10.17, 9.6.22 | 核心服务器 6.5 AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
整数溢出导致数组下标计算中发生缓冲区溢出 更多详情 |
|
CVE-2021-23222 公告 |
14, 13, 12, 11, 10, 9.6 | 14.1, 13.5, 12.9, 11.14, 10.19, 9.6.24 | 客户端 3.7 AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N |
libpq 处理来自中间人攻击的未加密字节 更多详情 |
|
CVE-2021-23214 公告 |
14, 13, 12, 11, 10, 9.6 | 14.1, 13.5, 12.9, 11.14, 10.19, 9.6.24 | 核心服务器 8.1 AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
服务器处理来自中间人攻击的未加密字节 更多详情 |
|
CVE-2020-25696 公告 |
13, 12, 11, 10, 9.6, 9.5 | 13.1, 12.5, 11.10, 10.15, 9.6.20, 9.5.24 | 客户端 7.5 AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H |
psql 的 \gset 允许覆盖特殊处理的变量 更多详情 |
|
CVE-2020-25695 公告 |
13, 12, 11, 10, 9.6, 9.5 | 13.1, 12.5, 11.10, 10.15, 9.6.20, 9.5.24 | 核心服务器 8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
多个功能逃逸 "安全限制操作" 沙箱 更多详情 |
|
CVE-2020-25694 公告 |
13, 12, 11, 10, 9.6, 9.5 | 13.1, 12.5, 11.10, 10.15, 9.6.20, 9.5.24 | 客户端 8.1 AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
重新连接会降低连接安全设置 更多详情 |
|
CVE-2020-14350 公告 |
12, 11, 10, 9.6, 9.5 | 12.4, 11.9, 10.14, 9.6.19, 9.5.23 | 核心服务器 7.1 AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
CREATE EXTENSION 中存在不受控制的搜索路径元素 更多详情 |
|
CVE-2020-14349 公告 |
12, 11, 10 | 12.4, 11.9, 10.14 | 核心服务器 7.5 AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
逻辑复制中的不受控制的搜索路径元素 更多详情 |
|
CVE-2020-10733 公告 |
12, 11, 10, 9.6, 9.5 | 12.3, 11.8, 10.13, 9.6.18, 9.5.22 | 打包 6.7 AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
Windows 安装程序从不受保护的目录运行可执行文件 更多详情 |
|
CVE-2020-1720 公告 |
12, 11, 10, 9.6 | 12.2, 11.7, 10.12, 9.6.17 | 核心服务器 3.1 AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N |
ALTER ... DEPENDS ON EXTENSION 缺少授权检查。 更多详情 |
|
CVE-2019-10211 公告 |
11, 10, 9.6, 9.5, 9.4 | 11.5, 10.10, 9.6.15, 9.5.19, 9.4.24 | 打包 7.8 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Windows 安装程序捆绑的 OpenSSL 从不受保护的目录执行代码 更多详情 |
|
CVE-2019-10210 公告 |
11, 10, 9.6, 9.5, 9.4 | 11.5, 10.10, 9.6.15, 9.5.19, 9.4.24 | 打包 6.7 AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
Windows 安装程序将超级用户密码写入不受保护的临时文件 更多详情 |
|
CVE-2019-10208 公告 |
11, 10, 9.6, 9.5, 9.4 | 11.5, 10.10, 9.6.15, 9.5.19, 9.4.24 | 核心服务器 7.5 AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
pg_temp 中的 TYPE 在 SECURITY DEFINER 执行期间执行任意 SQL 更多详情 |
|
CVE-2019-10164 公告 |
11, 10 | 11.4, 10.9 | 核心服务器 7.5 AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
通过设置密码进行基于栈的缓冲区溢出 更多详情 |
|
CVE-2019-10130 公告 |
11, 10, 9.6, 9.5 | 11.3, 10.8, 9.6.13, 9.5.17 | 核心服务器 3.1 AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N |
选择性估算器绕过行安全策略 更多详情 |
|
CVE-2019-10128 公告 |
11, 10, 9.6, 9.5, 9.4 | 11.3, 10.8, 9.6.13, 9.5.17, 9.4.22 | 打包 7.0 AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
EnterpriseDB Windows 安装程序未清除宽松的 ACL 条目 更多详情 |
|
CVE-2019-10127 公告 |
11, 10, 9.6, 9.5, 9.4 | 11.3, 10.8, 9.6.13, 9.5.17, 9.4.22 | 打包 7.0 AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
BigSQL Windows 安装程序未清除宽松的 ACL 条目。 更多详情 |
|
CVE-2019-3466 公告 |
12, 11, 10, 9.6, 9.5, 9.4 | 12.1, 11.6, 10.11, 9.6.16, 9.5.20, 9.4.25 | 打包 8.4 AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
postgresql-common 中的 pg_ctlcluster 脚本在创建套接字/统计信息临时目录时不降低权限 更多详情 |
|
CVE-2018-16850 公告 |
11, 10 | 11.1, 10.6 | 核心服务器 8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
通过 CREATE TRIGGER ... REFERENCING 在 pg_upgrade 和 pg_dump 中的 SQL 注入。 更多详情 |
|
CVE-2018-10925 公告 |
10, 9.6, 9.5 | 10.5, 9.6.10, 9.5.14 | 核心服务器 7.1 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
INSERT ... ON CONFLICT DO UPDATE 中存在内存泄露和授权缺失 更多详情 |
|
CVE-2018-10915 公告 |
10, 9.6, 9.5, 9.4, 9.3 | 10.5, 9.6.10, 9.5.14, 9.4.19, 9.3.24 | 客户端 8.5 AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H |
某些主机连接参数绕过了客户端安全防御 更多详情 |
|
CVE-2018-1115 公告 |
10, 9.6 | 10.4, 9.6.9 | contrib 模块 3.1 AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N |
函数 pg_logfile_rotate() 的访问控制列表过于宽松 更多详情 |
|
CVE-2018-1058 公告 |
10, 9.6, 9.5, 9.4, 9.3 | 10.3, 9.6.8, 9.5.12, 9.4.17, 9.3.22 | 客户端 8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
pg_dump 和其他客户端应用程序中存在不受控制的搜索路径元素 更多详情 |
|
CVE-2018-1053 公告 |
10, 9.6, 9.5, 9.4, 9.3 | 10.2, 9.6.7, 9.5.11, 9.4.16, 9.3.21 | 客户端 6.7 AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
pg_upgrade 在现有 umask 下创建敏感元数据文件 更多详情 |
|
CVE-2018-1052 公告 |
10 | 10.2 | 核心服务器 6.5 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
表分区中的内存泄露 更多详情 |
|
CVE-2017-15099 公告 |
10, 9.6, 9.5 | 10.1, 9.6.6, 9.5.10 | 核心服务器 3.1 AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N |
INSERT ... ON CONFLICT DO UPDATE 未能强制执行 SELECT 权限 更多详情 |
|
CVE-2017-15098 公告 |
10, 9.6, 9.5, 9.4, 9.3 | 10.1, 9.6.6, 9.5.10, 9.4.15, 9.3.20 | 核心服务器 4.3 AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
JSON 函数中存在内存泄露 更多详情 |
|
CVE-2017-12172 公告 |
10, 9.6, 9.5, 9.4, 9.3, 9.2 | 10.1, 9.6.6, 9.5.10, 9.4.15, 9.3.20, 9.2.24 | contrib 模块 8.4 AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
启动脚本允许数据库管理员修改 root 拥有的文件 更多详情 |
您还可以查看不受支持版本的已存档安全补丁。请注意，这些版本已到达生命周期终点，不再提供安全补丁。
12 -
11 -
10 -
9.6 -
9.5 -
9.4 -
9.3 -
9.2 -
9.1 -
9.0 -
8.4 -
8.3 -
8.2 -
8.1 -
8.0 -
7.4 -
7.3
上述表格中使用的以下组件参考
| 组件 | 描述 |
|---|---|
| 核心服务器 | 此漏洞存在于核心服务器产品中。 |
| 客户端 | 此漏洞仅存在于客户端库或客户端应用程序中。 |
| contrib 模块 | 此漏洞存在于 contrib 模块中。从源码安装 PostgreSQL 时，contrib 模块默认不安装。它们可能由二进制包安装。 |
| 客户端 contrib 模块 | 此漏洞存在于仅在客户端使用的 contrib 模块中。 |
| 打包 | 此漏洞存在于 PostgreSQL 二进制打包中，例如安装程序或 RPM。 |
PostgreSQL 安全团队由 PostgreSQL 项目的一组贡献者组成，他们在数据库和信息安全的各个方面都具有经验。
您可以在此处找到安全团队成员列表